NEN 7510 en mobiele devices: eisen aan smartphones en tablets in de zorg

Gepubliceerd op 9 oktober 2026 · Door de redactie van EduStockr · Bronnen gecontroleerd op 25 oktober 2026 · Alle artikelen

In het kort: NEN 7510 schrijft geen merk of type smartphone of tablet voor. De norm vraagt een managementsysteem voor informatiebeveiliging, waarin u op basis van een risicoanalyse bepaalt welke maatregelen nodig zijn. Voor mobiele devices in de zorg komt dat in de praktijk neer op centraal beheer, versleuteling, sterke vergrendeling, tijdige beveiligingsupdates, een procedure bij verlies en veilig wissen bij afvoer. Veel van die eisen kunt u al in de uitvraag aan de leverancier vastleggen.

Wat NEN 7510 is en waarom het over uw smartphones en tablets gaat

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De huidige versie bestaat uit twee delen. NEN 7510-1:2024, ‘Medische informatica – Informatiebeveiliging in de zorg – Deel 1: Managementsysteem’, is volgens NEN op 1 december 2024 gepubliceerd en vervangt de versie uit 2017 met wijzigingsblad uit 2020. Deel 1 beschrijft het managementsysteem (ISMS). Deel 2 bevat de beheersmaatregelen.

Volgens certificatie-instelling Kiwa telt de herziene norm 93 algemene en acht zorgspecifieke beheersmaatregelen, ingedeeld in vier thema’s: mens, fysiek, technologie en organisatie. Kiwa wijst er ook op dat de implementatierichtlijn uit deel 2 niet meer vrijblijvend is: in de Verklaring van Toepasselijkheid moet staan of u de richtlijn volgt en, zo niet, waarom en hoe u afwijkt.

Waarom raakt dit uw devices? Het Besluit elektronische gegevensverwerking door zorgaanbieders bepaalt in artikel 3 dat een zorgaanbieder ‘overeenkomstig het bepaalde in NEN 7510 en NEN 7512’ zorgt voor een veilig en zorgvuldig gebruik van het zorginformatiesysteem. Een smartphone waarop een wijkverpleegkundige het elektronisch cliëntdossier opent, is in de praktijk een toegangspoort tot dat systeem. Daarnaast zijn gezondheidsgegevens bijzondere persoonsgegevens in de zin van de AVG (artikel 9), en vraagt artikel 32 AVG om passende technische en organisatorische beveiliging.

Geen keurmerk voor een toestel: uw organisatie bepaalt de eisen

Een veelvoorkomend misverstand is dat er ‘NEN 7510-tablets’ of ‘NEN 7510-telefoons’ bestaan. NEN 7510 is een norm voor de organisatie en haar informatiebeveiliging, niet voor een losse smartphone. Een certificaat hoort bij het managementsysteem van een organisatie. Een leverancier kan zelf NEN 7510- of ISO 27001-gecertificeerd zijn voor de eigen dienstverlening, bijvoorbeeld voor beheer op afstand. Dat zegt iets over die leverancier, niet automatisch over de manier waarop uw organisatie de devices inzet.

Dat betekent ook dat u de vertaling zelf maakt. U begint bij uw risicoanalyse: welke gegevens staan er op of komen via het toestel, wie gebruikt het, waar, en wat gebeurt er als het verloren gaat? Pas daarna kiest u de maatregelen. Een tablet die alleen een beeldbelapp voor familiecontact draait, vraagt andere maatregelen dan een smartphone met toegang tot het ECD en medicatiegegevens.

Dit is algemene informatie, geen juridisch advies. Leg de vertaling naar uw eigen organisatie voor aan uw CISO, uw functionaris gegevensbescherming (FG) of uw jurist.

Welke NEN 7510-onderwerpen smartphones en tablets raken

De tabel hieronder vat de onderwerpen uit de norm samen die in de praktijk het vaakst bij mobiele devices terugkomen, en vertaalt ze naar vragen die u aan een leverancier kunt stellen. De formulering is een samenvatting in eigen woorden; de precieze tekst en nummering staan in uw exemplaar van NEN 7510-2.

Drie soorten zorgdevices, drie beveiligingsprofielen

In de zorg ziet u meestal drie typen gebruik. Ze vragen elk een eigen inrichting, en vaak ook een andere hardwarekeuze.

De persoonlijke zorgtelefoon

Eén medewerker, één toestel, met toegang tot het ECD, roosterapps en beveiligd berichtenverkeer. Hier wegen sterke vergrendeling, versleuteling, updates en wissen op afstand het zwaarst. In het artikel over smartphones voor zorgmedewerkers leest u meer over de keuze en het beheer.

De gedeelde tablet of telefoon op de afdeling

Meerdere medewerkers gebruiken hetzelfde toestel per dienst. Dan moet duidelijk zijn wie wanneer heeft ingelogd, en mag de volgende gebruiker geen gegevens van de vorige zien. Platformen bieden daar eigen functies voor, zoals de gedeelde-apparaatmodus van Microsoft Entra ID en Gedeelde iPad van Apple. Niet elke zorgapp werkt daarmee: vraag het na bij de leverancier van uw ECD.

De cliënttablet

Een tablet voor beeldzorg, dagstructuur of contact met naasten staat bij de cliënt thuis of in de huiskamer. Het risico zit hier vooral in wat er op het toestel kan en wat er achterblijft bij een cliëntwissel. Een vergrendelde inrichting met alleen de nodige apps en een vaste wisprocedure helpen. Zie ook zorgtablets veilig hergebruiken tussen cliënten en MDM in de zorg.

Checklist: NEN 7510-eisen voor smartphones en tablets in uw uitvraag

Gebruik deze lijst als startpunt. Streep door wat voor uw situatie niet nodig is en vul aan wat uw risicoanalyse vraagt.

• Ondersteunt het toestel inschrijving in onze beheeromgeving (bijvoorbeeld Android Enterprise, Microsoft Intune of Apple Business, voorheen Apple Business Manager), en kan de leverancier de toestellen vooraf registreren?
• Tot welke datum krijgt dit model beveiligingsupdates, en waar publiceert de fabrikant dat?
• Is opslagversleuteling standaard actief en via MDM te controleren?
• Kunnen we schermvergrendeling, biometrie en minimale codelengte centraal afdwingen?
• Kunnen we het toestel op afstand vergrendelen, lokaliseren en wissen?
• Kunnen we de installatie van apps beperken tot een beheerde catalogus?
• Levert de leverancier een digitale lijst met serienummers en IMEI-nummers, gekoppeld aan de levering?
• Wat gebeurt er met de gegevens op een toestel dat voor reparatie wordt ingestuurd? Wordt het eerst gewist, en door wie?
• Biedt de leverancier gecertificeerde dataverwijdering bij inruil of afvoer, met een rapport per serienummer?
• Is er een verwerkersovereenkomst nodig, en staat de leverancier open voor uw model?
• Hoe snel ontvangt een medewerker een vervangend toestel bij verlies of defect?

Updates en levensduur: het onderschatte NEN 7510-risico

Een toestel dat geen beveiligingsupdates meer krijgt, is lastig te verantwoorden in een omgeving met gezondheidsgegevens. Voor nieuwe smartphones en tablets die sinds 20 juni 2025 op de Europese markt komen, gelden volgens de Europese Commissie ecodesign-eisen, waaronder ten minste vijf jaar besturingssysteemupdates na het einde van de verkoop van een model. Voor oudere modellen en voor laptops gelden die eisen niet. Apple noemt op de pagina met beveiligingsupdates geen vaste termijn. Controleer daarom per model de einddatum vóór aanschaf, en leg in uw vervangingsbeleid vast wat u doet als die datum nadert.

In de praktijk betekent dit dat een lage aanschafprijs niet vanzelf lage totale kosten oplevert: een model dat eerder stopt met updates, moet ook eerder vervangen worden.

Wat er verandert en wat u zelf moet blijven volgen

Naast NEN 7510 is sinds 15 augustus 2026 de Cyberbeveiligingswet in werking, de Nederlandse uitwerking van de Europese NIS2-richtlijn. De gezondheidszorg is een van de sectoren onder deze wet. Organisaties moeten volgens het NCSC zelf beoordelen of ze eronder vallen. Wie eronder valt, krijgt onder meer een registratieplicht, een zorgplicht en een meldplicht voor incidenten. Voor devices betekent dit vooral dat beheer, updates en incidentafhandeling aantoonbaar geregeld moeten zijn.

Ook de AVG blijft gelden. Raakt een toestel met persoonsgegevens kwijt, dan beoordeelt u of het een datalek is. Volgens de Autoriteit Persoonsgegevens meldt u een datalek met risico binnen 72 uur en registreert u elk datalek intern, ook als melden niet nodig is.

Normen, wetgeving en ondersteuningstermijnen veranderen. Controleer de actuele stand bij NEN, het NCSC en de fabrikant voordat u een uitvraag uitzet.

Zo pakken wij dit aan

EduStockr is een inkoopbemiddelaar en verkoopt zelf geen hardware. In een traject volgen we de vaste werkwijze:

1. U vertelt welke devices u nodig heeft, voor wie en voor welk gebruik. We vragen daarbij naar uw beheeromgeving en naar de beveiligingseisen die uw CISO of FG heeft vastgesteld.
2. We nemen die eisen op in de uitvraag aan meerdere gescreende leveranciers: inschrijving in uw MDM, einddatum van updates per model, wisprocedure bij reparatie en afvoer, vervanging bij verlies.
3. U ontvangt de voorstellen naast elkaar, inclusief onze vooraf vastgelegde vergoeding. Waar een leverancier een eis niet of anders invult, maken we dat zichtbaar.
4. U kiest en koopt rechtstreeks bij de leverancier. Die levert, factureert en geeft garantie.

Of uw informatiebeveiliging op orde is, beoordeelt uw organisatie zelf, eventueel met een certificerende instelling. Wij geven daar geen oordeel over. Meer over de inzet in de zorg leest u op de pagina zorg en welzijn.

Veelgestelde vragen

Bestaat er een NEN 7510-gecertificeerde smartphone of tablet?

Nee. NEN 7510 is een norm voor de informatiebeveiliging van een organisatie, niet een productkeurmerk. Een toestel kan wel functies hebben die het makkelijker maken om uw maatregelen uit te voeren, zoals beheer via MDM, versleuteling en een lange updatetermijn.

Moet een zorgorganisatie NEN 7510-gecertificeerd zijn?

Het Besluit elektronische gegevensverwerking door zorgaanbieders verwijst naar NEN 7510 voor het veilig gebruik van zorginformatiesystemen. Een certificaat is één manier om aan te tonen hoe u dat heeft ingericht. Of een certificaat voor uw organisatie nodig of gewenst is, bijvoorbeeld vanuit contracten, bespreekt u met uw CISO of jurist.

Mag een medewerker het ECD openen op een privételefoon?

Dat hangt af van uw risicoanalyse en beleid. Als u het toestaat, scheidt u werk en privé technisch, bijvoorbeeld met een werkprofiel, en legt u afspraken vast. Veel organisaties kiezen voor een zakelijk toestel. Zie smartphones voor zorgmedewerkers.

Welke beheeromgeving past bij NEN 7510?

De norm noemt geen product. Belangrijk is dat de beheeromgeving uw beleid kan afdwingen, kan rapporteren over de status van toestellen en kan wissen op afstand. Welke MDM-oplossing past, hangt af van uw platformkeuze en bestaande ICT-omgeving.

Over dit artikel: geschreven door de redactie van EduStockr, een handelsnaam van J-Mobile B.V., met een eigen vestiging aan Ambachtsweg 8, 5492 NJ Nijnsel. EduStockr bemiddelt bij de inkoop van devices en verkoopt zelf geen hardware. Dit artikel is opgesteld met hulp van AI-hulpmiddelen; de feiten zijn gecontroleerd aan de hand van de genoemde bronnen op 25 oktober 2026. Ziet u een fout of is iets verouderd? Mail info@edustockr.nl.